Mikrotik RB951Ui-2HnD - проброс порта для IP-камеры

[club777 1]

Нужна помощь.

Переехали с D-Link на Mikrotik RB951Ui-2HnD, всё настроилось в полпинка, а вот с IP-камерами возникли проблемы!... %)

Суть проблемы: есть несколько IP-камер, видео с которых мы черпаем через rtsp. У каждой из камер свой порт, используеиый для rtsp. В локалке всё работает на ура, видео без проблем открывается по ссылкам вида rtsp://192.168.10.102:22554/user=admin&password=ХХХ

Кроме того, это же видео бекапится на внешний хост, соответственно нужен доступ с интернета,- настраиваю проброс порта для IP-камеры, делаю всё четко по инструкции: https://toster.ru/q/183419 , добавил правило: 

add action=dst-nat chain=dstnat disabled=no dst-port=22554 protocol=tcp to-addresses=192.168.10.102 to-ports=22554

- не работает!!!

Пробовал менять protocol=tcp/udp и action=dst-nat/netmap (как рекомендуют тут: http://www.technotrade.com.ua/Articles/mikrotik-port-forwarding.php), ничего не помогает, камеры по rtsp - недоступны... %)

 

Может я где-то ступил? Подскажите, пожалуйста, куда копать ??????

 

 

 

На всякий случай /ip firewall nat export:

# feb/16/2018 09:49:39 by RouterOS 6.41.2

# software id = I449-W8D6

#

# model = 951Ui-2HnD

# serial number = XXX 

/ip firewall nat

add action=dst-nat chain=dstnat dst-port=22554 in-interface=WAN protocol=tcp to-addresses=192.168.10.102 to-ports=22554

add action=masquerade chain=srcnat out-interface=WAN src-address=192.168.10.0/24

 

[Den_LocalNet 1 474]

На камере шлюз не забыли указать? 

[club777 1]

Да, основной шлюз на камерах указан.

Уверен, что проблема на стороне Микротика, т.к. буквально вчера эти же камеры беспроблемно работали с Длинком.....

Где-то наплужил в настройках Микротика, повторю, что я уверен, что 100% проблема на стороне Микротика....

Уже вроде всё перепроверил.... Я в Миротиках новичёк, знать бы куда копать?..... %)

Хелп!

[logic 522]

входящий интерфейс не указан . и   netmap

Відредаговано 2018-02-16 07:33:15 logic

[club777 1]

Как же не указан?

add action=dst-nat chain=dstnat dst-port=22554 in-interface=WAN protocol=tcp to-addresses=192.168.10.102 to-ports=22554

[logic 522]

а покажите правила фаервола, можна принтскрином

Відредаговано 2018-02-16 07:36:56 logic

[club777 1]

/ip firewall filter
add action=accept chain=input protocol=icmp
add action=accept chain=input connection-state=established
add action=accept chain=input connection-state=related
add action=drop chain=input in-interface-list=!mactel

[max_m 92]

в фильтрах укажите правило разрешающее вход на порт 22554

[logic 522]

дроб выключите.... ваш микротик даже не пигнуется с инета 

 

[club777 1]

Не помогло.... 

 

 

 

Відредаговано 2018-02-16 08:28:24 club777

[logic 522]

 скрин  закладки ната

а вы откуда  проверяете  или есть  поток? с инета или с локалки?

[club777 1]

С локалкой всё ок, поток есть,

проблема возникает только с доступом с инета.....

 

 

/ip firewall nat

add action=dst-nat chain=dstnat dst-port=22554 in-interface=WAN protocol=tcp to-addresses=192.168.10.102 to-ports=22554

add action=masquerade chain=srcnat out-interface=WAN src-address=192.168.10.0/24

 

 

 

[logic 522]

а на микротик с инета можете зайти?

[club777 1]

Нет,

но он пингуется:

--- PING 77..48 (77..48) 56(84) bytes of data. ---
64 bytes from 77..48: icmp_seq=1 ttl=53 time=55.2 ms
64 bytes from 77..48: icmp_seq=2 ttl=53 time=54.2 ms
64 bytes from 77..48: icmp_seq=3 ttl=53 time=57.5 ms
64 bytes from 77..48: icmp_seq=4 ttl=53 time=56.7 ms

Відредаговано 2018-02-16 09:00:25 club777

[logic 522]

перегрузите и гляньте через винбокс или  правило дроб выкл

 

[club777 1]

Перезагрузил,

да, единственное правило drop - неактивно .... 

 

[tkapluk 908]

53 минуты назад, max_m сказал:

в фильтрах укажите правило разрешающее вход на порт 22554

не нужно при

46 минут назад, logic сказал:

дроб выключите.... ваш микротик даже не пигнуется с инета 

чего ему не пинговаться если там же первым правилом акцепт icmp. 

 

17 минут назад, club777 сказал:

проблема возникает только с доступом с инета.....

каунтеры правила проброса порта всегда по нулям или обнулил перед тем как скрин делать? 

[club777 1]

3 минуты назад, tkapluk сказал:

каунтеры правила проброса порта всегда по нулям или обнулил перед тем как скрин делать? 

по нулям.... 

причём намертво.....))))

[tkapluk 908]

11 минут назад, club777 сказал:

по нулям.... 

причём намертво.....))))

Значит куда-то не туда стучишь. Оно даже если в браузере напишешь ip:22554 или телнетом должно считать пакеты. 

Добавь так же для udp.

попробуй вместо интерфейса указать дестинейшн адрес = внешняя айпишка.

[club777 1]

Вау, если "вместо интерфейса указать дестинейшн адрес" - есть легкое движение каунтеров,

но проблему это не решило, видео по rtsp - так и не передается....

 

Что ещё можно попробовать ??? 

 

 

Відредаговано 2018-02-16 09:47:01 club777

[tkapluk 908]

Движение пакетов в обе стороны? 

для udp прописал? 

[Matou 83]

Таки правило маскарадинга подымите на верх, то есть сделайте вначале маскарадинг, потом проброс.

[club777 1]

Для udp - прописал, по udp - движений не наблюдаю (скорей всего, он и не используется),

каким образом я могу определить "Движение пакетов в обе стороны? "

 

 

 

[tkapluk 908]

16 минут назад, club777 сказал:

каким образом я могу определить "Движение пакетов в обе стороны? "

в Тулснифере, как-то так: 

/tool sniffer> quick ip-address=ххх port=22554

[club777 1]

Что-то оно не работает:

[admin@Mikrotik RB951Ui-2HnD] /tool sniffer> quick ip-address=77..48 port=22544  INTERFACE TIME NUM DIR SRC-MAC DST-MAC VLAN SRC-ADDRESS DST-ADDRESS PROTOCOL SIZE CPU FP -- [Q quit|D dump|C-z pause]

И что это меняет? 

По-моему, где-то что-то блокирует, но к сожалению, я не большой специалист в Микротиках, поэтому самому сложно разобраться... %)